Java实现扫码登录

一、需求背景

        产品线在已有APP端的情况下，产品需要在PC端通过扫码实现快捷免密登录，相比传统登录方式相对更加方便。

二、登录原理

主要是将 APP 端的用户登录信息（通常是 Token）通过扫码的方式安全稳定地同步给PC端。

整体方案流程图如下：

 

三、接口设计

1.获取二维码ID

        有效时间60s，尽量增加防篡改和重放限制，请求头携带签名、当前时间戳等数据做校验。

2.获取二维码状态

        采用的是前端轮询每隔1秒定时调用方式（目前主流方式，实现简单），另外长连接（相对节省资源，但服务端容易阻塞请求）也可以参考，各有优劣，可根据具体的业务场景做选择。

3.获取登录信息

        获取包括ticket、at、当前角色等信息。

4.扫描二维码

        修改二维码状态为待确认并锁定二维码，重置确认登陆等待有效时间为3分钟。header头需要携带生成的token,deviceId,appkey等参数，需要权限校验，校验token有效性。前端需要缓存二维码ID，ticket，避免用户扫码后直接关闭页面，再次扫码，如果缓存有数据，无需调用此接口，前端缓存数据有效时间60s，与二维码有效时间一致。

5.APP端已确认登录/已取消登录

        带ticket修改二维码状态。header头需要携带生成的token,deviceId,appkey等参数，需要权限校验，校验token有效性。

四、数据存储

根据具体业务，本项目采用Redis存储二维码信息，key值为二维码ID，value为json串，存储状，设备id，扫描token，ticket，at。
key:二维码id
value:
deviceId：设备id
status：状态：initial:初始状态，awaiting:待确认，confirmed:已确认登陆， cancel:已取消（pc端需要重新生成二维码）
bindToken:扫描后已绑定的设备token
ticke:临时ticket，第三次修改已确认状态用于鉴权操作
at：已确认更新登陆at，pc端获取at登陆
currentRole：App端当前选中角色

注：也可以持久化到数据库存储，出于性能考虑，设计时可能需要考虑定时任务补偿删除持续新增的数据记录，或做分库分表。